Die Cybersicherheit eines KMU entscheidet sich nicht an der Anzahl installierter Werkzeuge. Sie entscheidet sich an einer Handvoll einfacher Entscheidungen, die in der richtigen Reihenfolge getroffen und über die Zeit aufrechterhalten werden. Dieser Artikel gibt Ihnen diese Liste.
Zehn Massnahmen, geordnet vom besten Aufwand-Schutz-Verhältnis bis zum am wenigsten dringenden. Sie müssen nicht alle diese Woche umsetzen. Sie müssen mit der ersten beginnen.
Warum diese Reihenfolge, und keine andere?
Die Angriffe, die Schweizer KMU treffen, sind fast nie massgeschneiderte Operationen. Es handelt sich um automatisierte Kampagnen, die Tausende von Unternehmen durchkämmen und bei jenen stoppen, die eine bekannte Schwachstelle aufweisen: ein wiederverwendetes Passwort, eine nicht aktualisierte Software, einen zu schnell geöffneten Anhang.
Sie müssen sich also nicht gegen einen entschlossenen Gegner verteidigen. Sie müssen aufhören, das einfachste Ziel im Feld zu sein.
Im Jahr 2025 erhielt das Bundesamt für Cybersicherheit 64’733 freiwillige Meldungen von Cybervorfällen, gegenüber 62’954 im Vorjahr. Gleichzeitig halten nur 42 % der Schweizer KMU ihren Schutz für ausreichend, gegenüber 55 % ein Jahr zuvor. Dieses wachsende Bewusstsein ist eine gute Nachricht, sofern es sich in Handlungen übersetzt. Die Details dieser Meldungen, und was daraus zu schliessen ist oder nicht, finden Sie in unserem Überblick über die Cyberkriminalität in der Schweiz in Zahlen.
Die folgende Reihenfolge stützt sich auf drei Kriterien: die Schwere dessen, was die Massnahme verhindert, die Häufigkeit des betreffenden Angriffs und den realen Aufwand, den sie einem Unternehmen mit wenigen Mitarbeitenden abverlangt. Sie folgt der Logik des vom Bund veröffentlichten IKT-Minimalstandards und der Leitfäden für Kleinst- und Kleinunternehmen.
| # | Massnahme | Einrichtung | Wartung | Was sie blockiert | Wirkung |
|---|---|---|---|---|---|
| 1 | Datensicherung mit Offline-Kopie, getestete Wiederherstellung | Hoch | Mittel | Ransomware, Ausfall, Löschung | Entscheidend |
| 2 | Zwei-Faktor-Authentifizierung (E-Mail, Banking, Admin) | Gering | Keine | Passwortdiebstahl, Übernahme des E-Mail-Kontos | Entscheidend |
| 3 | Automatische Updates überall | Gering | Gering | Ausnutzung bekannter Schwachstellen | Hoch |
| 4 | Eindeutige Passwörter über einen Passwort-Manager | Mittel | Gering | Wiederverwendung, Kaskadenlecks | Hoch |
| 5 | Zugriffsentzug beim Austritt einer Mitarbeiterin oder eines Mitarbeiters | Gering | Gering | Restzugriff, interner Missbrauch | Hoch |
| 6 | Konten ohne Administratorrechte im Alltag | Mittel | Keine | Ausbreitung von Schadsoftware | Hoch |
| 7 | Schutz der Messaging-Infrastruktur (Filterung, SPF, DKIM, DMARC) | Mittel | Gering | Phishing, Missbrauch Ihrer Domain | Hoch |
| 8 | Jährliche Sensibilisierung des gesamten Teams | Mittel | Mittel | CEO-Betrug, riskante Klicks | Mittel bis hoch |
| 9 | Schriftliche, ausgedruckte Vorgehensweise bei einem Angriff | Gering | Gering | Zeitverlust und Fehler am Tag X | Mittel |
| 10 | Verzeichnis der Personendaten und deren Hosting-Anbieter | Mittel | Gering | Nichtkonformität, blinde Flecken | Mittel |
1. Datensicherung mit Offline-Kopie und getesteter Wiederherstellung
Was es ist. Kopien Ihrer Daten, die an anderer Stelle aufbewahrt werden, darunter mindestens eine, die nichts in Ihrem Netzwerk erreichen kann, und bei der Sie überprüft haben, dass sie sich tatsächlich wiederherstellen lässt.
Warum sie wichtig ist. Das ist die Massnahme, die aus einer Katastrophe eine schlechte Woche macht. Gegenüber Ransomware verschafft sie Ihnen das Recht, eine Zahlung zu verweigern. Im zweiten Halbjahr 2025 wurden dem NCSC 57 Vorfälle im Zusammenhang mit Ransomware gemeldet, und diese Zahlen erfassen nur die gemeldeten Fälle.
Der reale Aufwand. Das ist die anspruchsvollste Massnahme der Liste: einige Stunden Einrichtung, ein Abonnement oder dedizierte Hardware, und eine regelmässige Überprüfung. Es ist auch die einzige, deren Fehlen sich nicht nachträglich beheben lässt.
Der erste Schritt. Stellen Sie diesen Monat eine zufällig gewählte Datei aus Ihrer Datensicherung wieder her und prüfen Sie, ob sie sich öffnen lässt. Lesen Sie danach die 3-2-1-Regel für Datensicherungen, um zu ergänzen, was noch fehlt.
Die externe Festplatte, die dauerhaft am Server angeschlossen ist, wird zusammen mit allem anderen verschlüsselt. Und eine Datensicherung, die seit Monaten unbemerkt fehlschlägt, wird erst am Morgen des Angriffs entdeckt. Eine getrennte Kopie und ein jährlicher Wiederherstellungstest sind mehr wert als jede Sicherheitssoftware auf dem Markt.
2. Zwei-Faktor-Authentifizierung für kritische Zugänge aktivieren
Was es ist. Zusätzlich zum Passwort ein zweiter Identitätsnachweis: ein von einer App auf dem Telefon erzeugter Code oder ein physischer Sicherheitsschlüssel.
Warum sie wichtig ist. Ein Passwort gelangt früher oder später in Umlauf, durch ein Datenleck bei einem Anbieter oder durch Phishing. Die Zwei-Faktor-Authentifizierung macht dieses gestohlene Passwort allein unbrauchbar. Es ist die Massnahme mit dem besten Verhältnis zwischen fünf Minuten Konfiguration und dem abgewendeten Risiko.
Der reale Aufwand. Wenige Minuten pro Konto, in der Regel ohne Mehrkosten. Die alltägliche Beeinträchtigung ist gering: Die meisten Dienste verlangen den zweiten Faktor nur bei einem unbekannten Gerät erneut.
Der erste Schritt. Aktivieren Sie sie heute für die Postfächer der Geschäftsleitung und der Buchhaltung, danach für das E-Banking und die Administratorkonten. Der Rest folgt. Weitere Details finden Sie in unserem eigenen Artikel zur Zwei-Faktor-Authentifizierung.
3. Updates automatisch ablaufen lassen
Was es ist. Die automatische Installation von Sicherheitspatches auf Computern, Telefonen und Fachsoftware, aber auch auf dem Router, dem Server, dem NAS und vernetzten Geräten.
Warum sie wichtig ist. Automatisierte Kampagnen nutzen öffentlich dokumentierte Schwachstellen aus, die oft schon seit Monaten behoben sind. Ein aktuelles Unternehmen ist von diesem Hintergrundrauschen schlicht nicht betroffen.
Der reale Aufwand. Gering: Auf den Arbeitsplätzen ist es ein einziges Häkchen. Die Schwierigkeit liegt anderswo, bei den Geräten, die niemand überwacht: dem Router des Internetanbieters, dem Netzwerkdrucker, der Überwachungskamera.
Der erste Schritt. Erstellen Sie eine Liste von allem, was mit dem Netzwerk verbunden ist, auch von Dingen, die keine Computer sind, und prüfen Sie für jedes Element das Datum des letzten Updates. Das Thema wird ausführlich behandelt unter Updates.
4. Ein eindeutiges Passwort pro Dienst, in einem Manager
Was es ist. Eine Software, die Passwörter für Sie merkt und einträgt. Sie müssen sich nur eines merken, jenes des Managers.
Warum sie wichtig ist. Die eigentliche Gefahr ist nicht das schwache Passwort, sondern das wiederverwendete. Wird eine Drittanbieter-Website gehackt, werden die gestohlenen Zugangsdaten automatisch bei Hunderten anderer Dienste ausprobiert. Ein eindeutiges Passwort pro Dienst begrenzt das Leck auf ein einziges Konto.
Der reale Aufwand. Mittel, weil es sich um eine Gewohnheitsänderung handelt. Rechnen Sie mit ein bis zwei Stunden, um das Werkzeug zu installieren und die wichtigen Konten zu migrieren, danach folgt eine Zeitersparnis im Alltag.
Der erste Schritt. Testen Sie die Stärke Ihrer aktuellen Passwörter mit unserem Passworttest, und prüfen Sie mit der E-Mail-Überprüfung, ob Ihre Adressen in bekannten Datenlecks auftauchen. Migrieren Sie danach zuerst E-Mail und Banking. Siehe Passwörter.
5. Zugriffe beim Austritt einer Mitarbeiterin oder eines Mitarbeiters entziehen
Was es ist. Ein fester Schritt in Ihrem Austrittsprozess: Konten deaktivieren, Geräte zurückfordern, gemeinsam genutzte Passwörter ändern, Fernzugriffsrechte entziehen.
Warum sie wichtig ist. Das ist der häufigste blinde Fleck in kleinen Strukturen. Konten bleiben nach einem Austritt monate-, manchmal jahrelang aktiv. Sie stellen ein idealer Einstiegspunkt für jeden dar, der diese Zugangsdaten in die Hände bekommt.
Der reale Aufwand. Sehr gering, sobald die Liste erstellt ist: fünfzehn Minuten pro Austritt. Der Aufwand liegt in der erstmaligen Erstellung der Zugriffsliste.
Der erste Schritt. Erstellen Sie heute die Liste der Zugriffsrechte, die einer typischen Mitarbeiterin oder einem typischen Mitarbeiter gewährt werden, und prüfen Sie, dass die im letzten Jahr ausgetretenen Personen dort nicht mehr auftauchen. Siehe Zugriffsverwaltung. Dieselbe Liste, rückwärts gelesen, dient am Tag eines Eintritts: Das ist das Thema unseres Artikels über den Eintritt einer neuen Mitarbeiterin oder eines neuen Mitarbeiters.
Die Massnahmen 5, 6 und 9 kosten nichts als ein aktuell gehaltenes Dokument. Eine einfache, zweimal jährlich überprüfte Zugriffstabelle löst allein einen guten Teil der kontobezogenen Risiken. Beginnen Sie mit dem, was man schreibt, bevor Sie kaufen, was man installiert.
6. Mit einem Konto ohne Administratorrechte arbeiten
Was es ist. Jede Person nutzt im Alltag ein Standardkonto. Die Administratorrechte sind einem separaten Konto vorbehalten, das nur für Installationen oder Konfigurationen genutzt wird.
Warum sie wichtig ist. Schadsoftware erbt die Rechte der Person, die sie ausführt. Von einem Standardkonto aus geöffnet, bleibt sie eingedämmt. Von einem Administratorkonto aus geöffnet, kann sie sich dauerhaft installieren, Schutzmechanismen deaktivieren und sich im Netzwerk ausbreiten.
Der reale Aufwand. Mittel bei der Einrichtung, danach keiner. Man muss die Konten anlegen und bei Installationen einige Passwortabfragen akzeptieren.
Der erste Schritt. Prüfen Sie, ob das Konto, das Sie täglich nutzen, ein Administratorkonto ist. Falls ja, erstellen Sie sich ein Standardkonto und behalten Sie das andere für technische Vorgänge.
7. Die Messaging-Infrastruktur technisch schützen
Was es ist. Zwei getrennte Dinge: eine ernsthafte Anti-Phishing-Filterung eingehend, und die Konfiguration der SPF-, DKIM- und DMARC-Einträge für Ihre Domain, ausgehend.
Warum sie wichtig ist. Die Messaging-Infrastruktur ist der dominierende Einstiegspunkt. Die Filterung verringert, was in den Postfächern ankommt. SPF, DKIM und DMARC verhindern, dass Dritte Nachrichten versenden, die scheinbar von Ihrem Unternehmen stammen, was der Mechanismus hinter CEO-Betrug und gefälschten Überweisungsaufträgen an Ihre Kunden ist.
Der reale Aufwand. Die Filterung ist oft bereits in Ihrem geschäftlichen E-Mail-Angebot enthalten und muss vor allem aktiviert und eingestellt werden. Der Teil mit SPF, DKIM und DMARC erfordert einen technischen Eingriff bei Ihrem Hosting-Anbieter, in der Regel wenige Stunden für einen Dienstleister.
Der erste Schritt. Fragen Sie Ihren Dienstleister, ob Ihre Domain über alle drei Einträge verfügt, und lassen Sie sich die Antwort schriftlich bestätigen. Siehe Sicherheit der Messaging-Infrastruktur.
8. Das gesamte Team einmal jährlich sensibilisieren
Was es ist. Eine kurze, jährliche Sitzung, die reale Beispiele betrügerischer Nachrichten zeigt und klar angibt, an wen man einen Verdacht melden soll.
Warum sie wichtig ist. Kein Filter blockiert alles, und die gefährlichsten Nachrichten sind jene ohne Anhang und ohne Rechtschreibfehler. Die Geschäftsleitung muss daran teilnehmen: Sie ist das bevorzugte Ziel von Überweisungsbetrug, und ihr Fehlen würde die gegenteilige Botschaft von der gewünschten senden.
Der reale Aufwand. Eine Stunde pro Jahr und Person, zuzüglich Vorbereitung. Die nationale Kampagne S-U-P-E-R, getragen vom Bund und seinen Partnern, bietet kostenloses, leicht merkbares Material: Sichern, Update, Programm zum Virenschutz, E-Mails mit Vorsicht behandeln, Risiken reduzieren durch starke Passwörter.
Der erste Schritt. Legen Sie ein Datum im Firmenkalender fest und kündigen Sie an, dass eine Verdachtsmeldung nie vorgeworfen wird. Siehe warum sensibilisieren. Wenn Sie über eine einzelne Sitzung hinausgehen möchten, bietet unser Artikel zum jährlichen Sensibilisierungsprogramm einen fertigen Kalender kurzer Sequenzen.
Bei den meisten vermeidbaren Vorfällen hatte jemand einen Verdacht, sagte aber nichts, aus Angst, naiv zu wirken. Die Zeit zwischen dem Klick und der Meldung bestimmt das Ausmass des Schadens. Sagen Sie Ihrem Team ausdrücklich, dass eine unnötige Meldung immer besser ist als Schweigen.
9. Die im Angriffsfall zu befolgende Vorgehensweise schriftlich festlegen
Was es ist. Eine ausgedruckte Seite, die angibt, wen man in welcher Reihenfolge und mit welchen Nummern anruft, sowie die ersten drei zu ergreifenden Massnahmen.
Warum sie wichtig ist. Am Tag des Vorfalls ist die Messaging-Infrastruktur möglicherweise nicht erreichbar und die Dateien sind verschlüsselt. Entscheidungen werden dann unter Zeitdruck getroffen, und die falschen fallen innerhalb weniger Minuten: Einen Server abzuschalten zerstört Spuren, ein Lösegeld in Panik zu zahlen garantiert nichts.
Der reale Aufwand. Eine Stunde zum Verfassen, eine Überprüfung pro Jahr. Das ist die günstigste Massnahme der Liste.
Der erste Schritt. Verfassen Sie die Seite und drucken Sie sie dreifach aus, davon ein Exemplar ausserhalb der Räumlichkeiten. Notieren Sie darauf die Nummer Ihres IT-Dienstleisters, jene Ihrer Versicherung und den Melde-Link zum NCSC. Siehe die ersten Stunden nach einem Angriff, sowie den vollständigen Ablauf im Notfallplan bei Cybervorfällen.
10. Ihre Personendaten und deren Hosting-Anbieter inventarisieren
Was es ist. Eine Liste der Kategorien von Personendaten, die Sie bearbeiten (Kundinnen und Kunden, Mitarbeitende, Bewerbende), des Ortes, an dem sie sich befinden, und der Personen, die darauf Zugriff haben.
Warum sie wichtig ist. Man schützt nicht, was man nicht kennt. Dieses Verzeichnis bringt vergessene Kopien und ausländische Dienstleister zum Vorschein, an die sich niemand mehr erinnert. Es bildet zudem die Grundlage Ihrer Pflichten im Bereich des Datenschutzes und ist das Dokument, das im Fall eines Vorfalls von Ihnen verlangt wird.
Der reale Aufwand. Ein halber Tag für eine kleine Struktur, mehr, wenn Sie zahlreiche Online-Dienste nutzen. Einmal jährlich zu überprüfen.
Der erste Schritt. Listen Sie die Software und Dienste auf, in denen Kunden- oder Mitarbeitendendaten vorkommen, mit dem Land der Hosting-Anbieter. Der rechtliche Rahmen wird erläutert unter Ihre nDSG-Pflichten. Für eine auf Ihre Tätigkeit abgestimmte Beurteilung lassen Sie sich von einer Fachperson begleiten.
Womit je nach Unternehmensgrösse beginnen?
Die obige Reihenfolge gilt für alle Unternehmen, doch das realistische Tempo hängt nicht nur vom Budget ab: Es hängt von der Belegschaft ab. Die drei folgenden Vorgehensweisen werden Schritt für Schritt in unserem Aktionsplan nach Unternehmensgrösse entwickelt.
1 bis 9 Personen. Ihr Vorteil ist die Einfachheit, Ihre Einschränkung ist die Zeit. Setzen Sie die Massnahmen 2, 3 und 4 noch diesen Monat um: Sie erfordern keinen Dienstleister. Gehen Sie danach Massnahme 1 an, notfalls, indem Sie sie einer Drittperson übertragen. Die Massnahmen 9 und 5 passen jeweils auf eine Seite. Sie können innerhalb eines Quartals ein solides Niveau erreichen, ohne bedeutendes Budget.
10 bis 49 Personen. Organisatorische Massnahmen werden vorrangig, weil sich Zugriffe schneller vervielfachen als die Überwachung. Setzen Sie die Massnahmen 5, 6 und 7 gleichzeitig mit den ersten drei um. Bestimmen Sie eine für das Thema verantwortliche Person, auch mit sehr kleinem Pensum, und geben Sie ihr ein festgelegtes Jahresbudget. Ohne benannte verantwortliche Person verlaufen diese Massnahmen im Sand.
50 Personen und mehr. Die zehn Massnahmen bilden Ihr Grundgerüst, nicht Ihr Programm. Formalisieren Sie: eine schriftliche Richtlinie, eine jährliche Überprüfung der Zugriffe, eine Krisenübung und Sicherheitsanforderungen gegenüber Ihren Lieferanten, die zu einem eigenständigen Einstiegspunkt werden. Ihre Kundschaft und Ihre Versicherungen werden beginnen, Nachweise von Ihnen zu verlangen.
Was können Sie diese Woche tun?
Versuchen Sie nicht, die zehn Punkte auf einmal zu erledigen. Tun Sie diese Woche drei Dinge: Aktivieren Sie die Zwei-Faktor-Authentifizierung für die Messaging-Infrastruktur und das Banking, stellen Sie eine Datei aus Ihrer Datensicherung wieder her, um zu prüfen, ob sie funktioniert, und verfassen Sie die Seite «wen man im Problemfall anruft».
Diese drei Massnahmen ergeben zusammen weniger als einen halben Tag und decken bereits die zerstörerischsten Szenarien ab. Der Rest kann sich über das Jahr verteilen, im Rhythmus von einer Massnahme pro Monat.
Um Ihren Ausgangspunkt einzuordnen, fasst der Cyber-Check-up diese zehn Massnahmen in Form von Fragen zusammen und gibt Ihnen in wenigen Minuten einen Überblick. Die ausführlichen Artikel zu jeder Massnahme sind im Themenbereich Best Practices zusammengefasst.